Unterstützung für Microsoft Entra (Azure Active Directory)

Bestimmte Umgebungen verwenden den hybriden Microsoft Entra-Beitritt, um SSO-Zugriff (Single Sign-On) auf lokale und in der Cloud gehostete Ressourcen bereitzustellen.

Hinweis: Microsoft Entra wird auch als Microsoft Azure Active Directory oder Azure AD bezeichnet. Auf dieser Dokumentationsseite wird der offizielle Name „Microsoft Entra“ verwendet, um auf die Identitätslösung zu verweisen, die früher als Microsoft Azure Active Directory oder Azure AD bezeichnet wurde.

Die lokalen Active Directory-Identitäten müssen in diesen hybriden Beitrittsumgebungen mit Microsoft Entra ID synchronisiert werden. Zum Implementieren dieser Synchronisierung können Sie Microsoft Entra in einem der folgenden Modi bereitstellen:

• Verbundidentitätsinfrastruktur
  Diese Umgebung stellt eine Konfiguration eines Verbundidentitätsanbieters (IdP) dar, in der Active Directory Federation Services (ADFS) als Identitätsanbieter fungiert.

• Verwaltete Identitätsinfrastruktur
  Diese Umgebung stellt eine Konfiguration dar, in der Microsoft Entra ID als Identitätsanbieter fungiert.

Unterstützte Microsoft Entra-Bereitstellungen

Omnissa Horizon 8 unterstützt hybride Microsoft Entra-Bereitstellungen im Verbund- und verwalteten Modus, wobei Desktop-Maschinen in die lokale Active Directory-Domäne eingebunden und bei Microsoft Entra ID registriert werden. Informationen zum Einrichten einer hybriden Microsoft Entra-Bereitstellung finden Sie in der Microsoft Entra-Dokumentation.

Unterstützte Horizon-Pools

Microsoft Entra-Bereitstellungen im Verbund- und verwalteten Modus werden für alle Pooltypen, einschließlich Full Clone, Instant Clone, manuell und RDSH, sowohl im dedizierten (persistenten) als auch im dynamischen (nicht persistenten) Modus unterstützt.

True SSO-Unterstützung

Zum Implementieren von True SSO für eine hybride Microsoft Entra-Bereitstellung zu implementieren, müssen Sie die zertifikatbasierte Authentifizierung für Microsoft Entra konfigurieren. Mit der True SSO-Funktion können Benutzer auf einen virtuellen oder veröffentlichten Desktop oder eine veröffentlichte Anwendung zugreifen, ohne ihre Active Directory-Anmeldedaten eingeben zu müssen.

Hybride Microsoft Entra-Bereitstellung im Verbundmodus

Alle unterstützten Versionen von Horizon 7 und Horizon 8 unterstützen hybride Microsoft Entra-Bereitstellungen im Verbundmodus. ADFS wird im Verbundmodus als Identitätsanbieter unterstützt.

SSO-Zugriff auf Microsoft Entra zugewiesenen Ressourcen funktioniert erst, wenn sich der Desktop-Computer in einem Zustand befindet, in dem er bei der Anmeldung des Endbenutzers ein primäres Microsoft Entra-Aktualisierungstoken (Primary Refresh Token, PRT) ausgeben kann. Weitere Informationen zu PRTs finden Sie in der Microsoft Entra-Dokumentation.

Weitere Informationen und Einschränkungen finden Sie im Omnissa-Knowledgebase-Artikel 89127.

Hybride Microsoft Entra-Bereitstellung im verwalteten Modus

Beim hybriden Beitritt von Microsoft Entra im verwalteten Modus, in dem Microsoft Entra ID als Identitätsanbieter dient, wird Microsoft Entra Connect-Software verwendet, die auf dem lokalen Domänencontroller installiert ist. Microsoft Entra Connect ist für die Synchronisierung lokaler Benutzer- und Geräteidentitäten mit Microsoft Entra ID verantwortlich.

Da Microsoft Entra Connect diese Identitäten in vordefinierten Standardintervallen synchronisiert, kann es bis zur Synchronisierung der Identitäten und deren vollständiger Integration in Microsoft Entra ID zu Verzögerungen kommen.

Microsoft bietet eine Vorschaufunktion, hybrider Beitritt zu Microsoft Entra mithilfe von Microsoft Entra Kerberos, die diese Synchronisierungsverzögerung reduzieren kann. Weitere Informationen finden Sie unter Hybrider Beitritt zu Microsoft Entra mithilfe von Microsoft Entra Kerberos (Vorschau).

Sie können einen Desktop so konfigurieren, dass er auf den Abschluss des hybriden Beitritts wartet, um sicherzustellen, dass die Desktop-Identität in Microsoft Entra ID vor dem Zulassen von Benutzerverbindungen voll funktionsfähig ist. Diese Konfiguration verringert die Wahrscheinlichkeit, dass Benutzer auf Probleme stoßen, die auftreten können, wenn eine Verbindung hergestellt wird, bevor der hybride Beitritt abgeschlossen ist.

Hinweis: Die Aktivierung der Funktion Warten auf hybriden Beitritt konfigurieren kann zu einer spürbaren Verzögerung bei der Maschinenverfügbarkeit führen, da Horizon Agent auf den Abschluss des hybriden Beitritts von Microsoft Entra wartet. Wenden Sie sich an den Microsoft-Support, wenn bei der Registrierung eine Maschine mit Microsoft Entra ID Probleme oder Verzögerungen von mehr als 120 Minuten auftreten.

Voraussetzungen

Stellen Sie vor dem Aktivieren der Funktion Warten auf hybriden Beitritt konfigurieren sicher, dass Ihre Bereitstellung die folgenden Systemanforderungen erfüllt.

• Omnissa Horizon Connection Server 2406 oder höher

  Hinweis: Alternativ können Sie die Funktion in Horizon Connection Server 2312 oder früher verwenden, wobei die Anzeigebeschränkung weiter unten auf dieser Seite beschrieben wird.

• Installation von Horizon Agent 2406 oder höher auf den Desktop-Maschinen

• Microsoft Entra Connect ist auf dem Domänencontroller installiert, der für den hybriden Beitritt mit verwalteten Domänen konfiguriert ist. Weitere Informationen finden Sie auf den folgenden Seiten der Microsoft-Dokumentation:

  • Geräteidentität und Desktopvirtualisierung
  • Konfigurieren des hybriden Microsoft Entra-Beitritts
  • Microsoft Entra Connect-Synchronisierung: Planer

Nachdem Sie diese Voraussetzungen erfüllt haben, fahren Sie mit dem nächsten Abschnitt fort, um die Funktion Warten auf hybriden Beitritt konfigurieren für alle Desktop-Maschinen zu aktivieren, die für den hybriden Beitritt mit Microsoft Entra Connect konfiguriert sind.

Aktivieren der Funktion zum Warten auf den hybriden Beitritt

Zum Aktivieren der Funktion zum Warten auf den hybriden Beitritt aktivieren Sie die GPO-Einstellung (Group Policy Object, Gruppenrichtlinienobjekt) Warten auf hybriden Beitritt konfigurieren für jeden Desktop-Computer, der für den hybriden Beitritt mit Microsoft Entra Connect konfiguriert ist.

Weitere Informationen finden Sie unter ADMX-Vorlageneinstellungen für die Agent-Konfiguration.

Hybrider Beitritt zu Microsoft Entra mithilfe von Microsoft Entra Kerberos (Vorschau)

Microsoft bietet eine Vorschaufunktion, hybrider Beitritt zu Microsoft Entra mithilfe von Microsoft Entra Kerberos, die diese Synchronisierungswartezeit für den hybriden Beitritt im verwalteten Modus reduzieren kann.

In der Vergangenheit konnte sich die Ausstellung des primären Aktualisierungstokens (PRT) für nicht-persistente Instant Clones nach einer Aktualisierung oder Neuzusammenstellung verzögern. Da bei jeder Aktualisierung der lokale Zustand der Maschine zurückgesetzt wird, muss die Geräteidentität die Vertrauensstellung über einen Microsoft Entra Connect- oder Microsoft Entra Cloud Sync-Zyklus wiederherstellen, bevor das PRT ausgestellt werden kann. Dies kann zu einer temporären SSO-Eingabeaufforderung in Apps wie Teams oder OneDrive führen, bis die Synchronisierung abgeschlossen ist.

Der hybride Beitritt zu Microsoft Entra mithilfe von Microsoft Entra Kerberos ersetzt das synchronisierungsabhängige Trust-Bootstrap durch einen direkten Kerberos-Vertrauensaustausch, wodurch die Synchronisierungswartezeit vom kritischen Pfad entfernt wird. Dadurch wird der Zeitpunkt der PRT-Ausstellung bei der Instant Clone-Aktualisierung verbessert und die SSO-Verzögerung reduziert oder entfernt.

Hinweis: Dies ist eine Microsoft-Vorschaufunktion mit eigenen Voraussetzungen. Informationen zu den Einrichtungsschritten und Anforderungen finden Sie unter <a href=https://learn.microsoft.com/en-us/entra/identity/devices/how-to-hybrid-join-using-microsoft-entra-kerberos>Hybrider Beitritt zu Microsoft Entra mithilfe von Microsoft Entra Kerberos (Vorschau).

Überwachen des Maschinenstatus während des hybriden Beitritts

Zum Überwachen der Verfügbarkeit von Desktop-Maschinen navigieren Sie zur Seite „Maschinenstatus“ in Omnissa Horizon Console.

In der folgenden Übersicht werden der hybride Beitritt von Microsoft Entra und die typischen Wartezeiten beschrieben, die bis zur vollständigen Verfügbarkeit der Maschinen zu erwarten sind.

1. Beim Start des hybriden Beitrittsprozesses für eine neue Maschine wird ein Computerobjekt in Active Directory erstellt. Das Objekt wechselt in den Status „Ausstehend“ und wartet darauf, dass es von Microsoft Entra Connect bei der nächsten geplanten Synchronisierung mit Microsoft Entra ID synchronisiert wird.

   Während sich das Objekt im Status „Ausstehend“ befindet, wird der Maschinenstatus in Horizon Console als Hybrider Domänenbeitritt wird durchgeführt angezeigt.

   

   Hinweis: Für Horizon Connection Server 2312 oder früher zeigt Horizon Console den Maschinenstatus als Konfigurationsfehler während des Status „Ausstehend“ an. Die Fehleranzeige ist nur temporär. Der Status ändert sich in Verfügbar, sobald der hybride Beitritt abgeschlossen ist.

2. Microsoft Entra Connect ist so geplant, dass Synchronisierungsaufgaben stündlich durchgeführt werden. Daher können Sie in der Regel davon ausgehen, dass die Maschine bis zu 60 Minuten im Status „Ausstehend“ verbleibt und nicht verfügbar ist.

   Hinweis: Maschinen können in weniger als 60 Minuten verfügbar sein. Sie können aber auch länger im Status „Ausstehend“ verbleiben, was auf Faktoren wie Umgebungsbedingungen und den Microsoft Entra Connect-Synchronisierungszeitplan zurückzuführen ist.

3. Bei der nächsten geplanten Synchronisierung registriert Microsoft Entra Connect das Computerobjekt bei Microsoft Entra ID. Sobald Microsoft Entra Connect die Synchronisierung abgeschlossen hat und das Computerobjekt vollständig in Microsoft Entra ID integriert ist, ist der hybride Beitritt abgeschlossen und der Maschinenstatus ändert sich in Verfügbar.

Fehlerbehebung

Führen Sie die vorgeschlagenen Schritte zur Fehlerbehebung aus, wenn ein Problem auftritt.

Die Funktion für den hybriden Beitritt wurde aktiviert, wird aber nicht wirksam.

1. Stellen Sie auf der Maschine sicher, dass der Registrierungsschlüssel HKLM\Software\Policies\Omnissa\Horizon\Agent\Configuration\WaitForHybridJoin auf 1 festgelegt ist.

   Bei Fehlen dieses Schlüssels ist die GPO-Einstellung Warten auf hybriden Beitritt konfigurieren unter Umständen nicht ordnungsgemäß konfiguriert, oder bei der Weitergabe des GPO an die Maschine ist ein Fehler aufgetreten.

2. Stellen Sie sicher, dass das GPO der richtigen Organisationseinheit oder Domäne zugeordnet ist.

3. Stellen Sie im Microsoft Azure-Portal sicher, dass die Maschine der Domäne erfolgreich beigetreten ist.

4. Führen Sie den Befehl gpupdate /force auf der Maschine aus, um eine Aktualisierung der Gruppenrichtlinie zu erzwingen.

Die Maschine hat den Status Verfügbar nach 90 bis 120 Minuten immer noch nicht erreicht.

Führen Sie das dsregtool Microsoft PowerShell-Skript aus, um mögliche Konfigurationsprobleme zu ermitteln.

Wenden Sie sich an den Microsoft-Support, wenn die Probleme weiterhin bestehen und Microsoft Entra Connect die Maschine nicht bei Microsoft Entra ID registrieren kann.